1. Le compte et l'IAM #
Protéger l'accès principal.
Règles #
- Double authentification (application TOTP, clé de sécurité) sur le compte client.
- IAM OVHcloud : utilisateurs locaux ou fédérés (SSO SAML), politiques qui autorisent des actions sur des ressources.
- Contacts administratif, technique et facturation séparés.
2. Identités techniques #
Pour les outils et les applications.
Utilisateurs OpenStack et API #
| Identité | Usage | Bonne pratique |
|---|---|---|
| Utilisateur OpenStack | CLI, Terraform, applications | Un par outil, rôles minimaux (Compute Operator, ObjectStore Operator…) |
| Clé d'API OVHcloud | API OVHcloud (facturation, domaines, Kubernetes…) | Droits limités à des chemins et méthodes précis, durée de validité |
| Identifiants S3 | Object Storage | Liés à un utilisateur ; politiques par bucket |
openstack user list 2>/dev/null || echo "gestion des utilisateurs depuis l'espace client ou l'API OVHcloud"
openstack role assignment list --names --user user-terraform
openstack ec2 credentials create # couple accès/secret pour l'API S3
openstack keypair create --public-key ~/.ssh/id_ed25519.pub ma-cle3. Bonnes pratiques #
Le moindre privilège.
Règles #
- Une identité par usage et par environnement ; révocation lors d'un départ.
- Secrets dans un coffre (Vault, gestionnaire de secrets de la CI), jamais dans Git.
- Clés SSH par personne ; authentification par mot de passe désactivée sur les instances.
- Journaliser les actions (journaux d'activité, Logs Data Platform).
Erreur Courante : Un fichier openrc contient un mot de passe ou un jeton : protégez-le (chmod 600) et ne le committez jamais.
